[摘要] 信息安全風(fēng)險(xiǎn)評(píng)估是信息系統(tǒng)安全工程的重要組成部分，也是建立信息安全保障體系的基礎(chǔ)。本文依據(jù)信息安全風(fēng)險(xiǎn)評(píng)估的脆弱性分析要求，從企業(yè)計(jì)算機(jī)網(wǎng)絡(luò)互連設(shè)備自身的工作原理分析了設(shè)備自身的脆弱性，并結(jié)合各種外在因素對(duì)該脆弱性可能波及到企業(yè)計(jì)算機(jī)網(wǎng)絡(luò)的不安全性進(jìn)行了探討、分析。

[關(guān)鍵詞] 信息安全風(fēng)險(xiǎn)評(píng)估 網(wǎng)絡(luò)互連設(shè)備 脆弱性分析

一、引言

隨著網(wǎng)絡(luò)的普及，網(wǎng)絡(luò)應(yīng)用不斷向深度和廣度發(fā)展，大量企業(yè)網(wǎng)絡(luò)建成。由于人類對(duì)網(wǎng)絡(luò)的依賴日益增強(qiáng)，所以網(wǎng)絡(luò)是否安全性已成為企業(yè)計(jì)算機(jī)網(wǎng)絡(luò)所面臨的重大問(wèn)題。網(wǎng)絡(luò)安全包括硬件安全和其上的軟件的安全。網(wǎng)絡(luò)硬件主要包括互連設(shè)備，比如：交換機(jī)、路由器、網(wǎng)關(guān)等。現(xiàn)在針對(duì)硬件設(shè)備主要是進(jìn)行一些安全方面的配置，例如交換機(jī)的VLAN，路由器的ACL配置等等，卻忽視了設(shè)備本身在工作中存在的脆弱性。本文依據(jù)信息安全風(fēng)險(xiǎn)評(píng)估步驟的脆弱性和威脅性，通過(guò)分析幾種比較常用網(wǎng)絡(luò)互連設(shè)備的工作原理發(fā)掘其脆弱性。

二、交換機(jī)脆弱性分析

交換機(jī)在OSL數(shù)據(jù)鏈路層MAC子層工作，它可以連接到單獨(dú)的結(jié)點(diǎn)或整個(gè)網(wǎng)段的單個(gè)網(wǎng)段的單個(gè)端口，在它們之間交換數(shù)據(jù)。并且為每個(gè)端口到端口之間提供全部的局域網(wǎng)介質(zhì)帶寬。

1.從設(shè)備自身來(lái)看

交換機(jī)在系統(tǒng)安裝，啟動(dòng)和災(zāi)難恢復(fù)時(shí)，是處于不安全狀態(tài)，有一定的脆弱性。其次它同樣也存在物理威脅，一些外在因素的影響可能破壞交換機(jī)。

2.從其工作原理來(lái)看

交換機(jī)接收到一個(gè)幀以后，檢查MAC幀的目的地址，并和自身內(nèi)部的交換表進(jìn)行比較，首先要保證交換表的正確性，否則會(huì)導(dǎo)致數(shù)據(jù)傳輸錯(cuò)誤。如果找到和目的網(wǎng)段相連的端口，然后將該幀發(fā)往端口。如果找不到所對(duì)應(yīng)的端口，交換機(jī)會(huì)向所有的端口發(fā)送該幀，并且通過(guò)回應(yīng)幀，建立和端口號(hào)相關(guān)的MAC地址表，在下次傳送數(shù)據(jù)時(shí)就可以查表，不再需要對(duì)所有端口進(jìn)行廣播了。這種對(duì)不知道目的地址的數(shù)據(jù)幀采用向所有端口發(fā)送數(shù)據(jù)包的做法，容易出現(xiàn)“溢流”現(xiàn)象。

交換機(jī)允許廣播幀溢流到整個(gè)網(wǎng)絡(luò)，同樣會(huì)引起其他不法主機(jī)的“竊聽(tīng)”，可以采用VLAN。采用不同的交換方式的交換機(jī)可能會(huì)存在一定的脆弱性，例如直通式交換機(jī)，就無(wú)法區(qū)分?jǐn)?shù)據(jù)流量是善意的還是惡意的，它只是實(shí)現(xiàn)快速轉(zhuǎn)發(fā)。存儲(chǔ)轉(zhuǎn)發(fā)式交換機(jī)可以解決數(shù)據(jù)安全性問(wèn)題，但又可能存在數(shù)據(jù)包丟失的問(wèn)題。另外，交換機(jī)在轉(zhuǎn)發(fā)數(shù)據(jù)幀時(shí)，存在輸入端口和輸出端口在速度上能否匹配的問(wèn)題，如果緩沖數(shù)量少而沖突數(shù)據(jù)量大的話，數(shù)據(jù)幀就會(huì)丟失。

3．從外在因素來(lái)看

入侵者利用交換機(jī)軟件或協(xié)議的脆弱性進(jìn)行攻擊，比如IP欺騙，TCP連接能被欺騙、截取、操縱，UDP易受IP源路由和拒絕服務(wù)的攻擊等等，同時(shí)也可能存在訪問(wèn)權(quán)濫用或者后門(mén)等問(wèn)題。

三、路由器脆弱性分析

由器工作在OSL模型的網(wǎng)絡(luò)層，它可以用來(lái)連接具有相同網(wǎng)絡(luò)通信結(jié)構(gòu)的網(wǎng)絡(luò)，也可以連接不同結(jié)構(gòu)的網(wǎng)絡(luò)。它為數(shù)據(jù)包提供最佳路徑，并且實(shí)現(xiàn)子網(wǎng)隔離和抑制廣播風(fēng)暴。

1.從設(shè)備自身來(lái)看

路由器相當(dāng)于網(wǎng)絡(luò)層的中繼器。路由器不能真正實(shí)現(xiàn)即插即用，需要很多配置。配置文件中一般包括路由器接口地址，登錄密碼，還有路由表的接口狀態(tài)，ARP表，日志信息。這些信息如果被攻擊者獲得，后果不堪設(shè)想。比如可以將路由器作為對(duì)其他站點(diǎn)掃描或偵察攻擊平臺(tái)，或者修改路由配置等。

2.從其工作原理來(lái)看

路由器是在網(wǎng)層上實(shí)現(xiàn)多個(gè)互連的設(shè)備。一個(gè)路由器有幾個(gè)端口，分別可以連接一個(gè)網(wǎng)絡(luò)或一個(gè)路由器。其主要任務(wù)是接收來(lái)自一個(gè)網(wǎng)絡(luò)接口數(shù)據(jù)包，根據(jù)其中所含的目的地址，決定轉(zhuǎn)發(fā)到下一個(gè)目的地址的端口。由于路由器是一個(gè)多端口的設(shè)備，因此閑置的并且工作正常的服務(wù)器端口很可能被黑客利用，對(duì)于不用的端口，應(yīng)該妥善管理。路由器接收到的數(shù)據(jù)包以后，首先在轉(zhuǎn)發(fā)路由表中查找數(shù)據(jù)包對(duì)應(yīng)的目的地址，同交換機(jī)一樣，我們也要求路由表的正確性。虛假的路由信息會(huì)使數(shù)據(jù)發(fā)送到錯(cuò)誤的地方。若找到了目的地址，就在數(shù)據(jù)包的幀格式前添加下一個(gè)MAC地址，同時(shí)IP數(shù)據(jù)包頭的TTL（Time To Live）域也開(kāi)始減數(shù)，并重新計(jì)算校驗(yàn)和。當(dāng)數(shù)據(jù)包被送到傳輸端口時(shí)，需要按順序等，以便被傳送一輸出鏈路上。如果數(shù)據(jù)包不是發(fā)往直接與路由器相連的網(wǎng)絡(luò)，該路由器則把這個(gè)包轉(zhuǎn)發(fā)給另一個(gè)離最終目標(biāo)更近的路由器。

現(xiàn)在，路由器還不具備安全和加密的功能，僅僅只有路由的功能，所以對(duì)待各種各樣的攻擊是脆弱的。

3.從外在因素來(lái)看

由于路由器是在網(wǎng)絡(luò)層實(shí)現(xiàn)多個(gè)網(wǎng)絡(luò)互連的設(shè)備。因此如果得到路由器的訪問(wèn)控制權(quán)的話，任何人都可以通過(guò)路由器來(lái)對(duì)其他的服務(wù)器發(fā)起拒絕服務(wù)攻擊，而路由器不會(huì)自動(dòng)生成警報(bào)通知用戶正受到攻擊。并且路由器的訪問(wèn)密碼極不安全，可以通過(guò)SNIFFER探測(cè)到，或在專屬公司網(wǎng)頁(yè)上可以查到。

四、網(wǎng)關(guān)脆弱性分析

網(wǎng)關(guān)又叫做協(xié)議轉(zhuǎn)換器，它用來(lái)連接專用網(wǎng)絡(luò)和公共網(wǎng)絡(luò)的路由器。網(wǎng)關(guān)是將不同協(xié)議集的協(xié)議進(jìn)行翻譯、轉(zhuǎn)換，網(wǎng)關(guān)是最復(fù)雜的網(wǎng)絡(luò)互連設(shè)備，它用于連接網(wǎng)絡(luò)層之上執(zhí)行不同高層協(xié)議的網(wǎng)絡(luò)，構(gòu)成異構(gòu)的互連網(wǎng)，通常工作在OSL模型的第4層和更高層。

1.從設(shè)備自身來(lái)看

網(wǎng)關(guān)是軟件和硬件結(jié)合的網(wǎng)絡(luò)互連設(shè)備，是最復(fù)雜的網(wǎng)絡(luò)互連設(shè)備，不同的網(wǎng)關(guān)用于不同的場(chǎng)合，其軟件和硬件自身也存在脆弱性。

2．從其工作原理來(lái)看

網(wǎng)關(guān)除了具有路由器的全部功能之外，還能為互連網(wǎng)絡(luò)的雙方提供高層協(xié)議轉(zhuǎn)換服務(wù)，即能夠連接兩個(gè)高層協(xié)議完全不同的網(wǎng)絡(luò)環(huán)境。當(dāng)數(shù)據(jù)包從一個(gè)網(wǎng)絡(luò)環(huán)境通過(guò)網(wǎng)關(guān)進(jìn)入另一個(gè)不同的網(wǎng)絡(luò)環(huán)境時(shí)，網(wǎng)關(guān)讀取信息后，剝?nèi)?shù)據(jù)中原來(lái)的協(xié)議棧，然后用目標(biāo)網(wǎng)絡(luò)的完整協(xié)議對(duì)數(shù)據(jù)重新包裝并輸出，以適應(yīng)目標(biāo)環(huán)境的要求[3]。但是用戶的特定數(shù)據(jù)通過(guò)網(wǎng)關(guān)或位于網(wǎng)關(guān)時(shí)是脆弱的，并且網(wǎng)關(guān)對(duì)惡意人員發(fā)起的操縱或修改也是脆弱的。

網(wǎng)關(guān)是局域網(wǎng)和廣域網(wǎng)連接的首選設(shè)備，其最常見(jiàn)的用途是在高層協(xié)議不相同的網(wǎng)絡(luò)之間充當(dāng)“翻譯”，即提供協(xié)議轉(zhuǎn)換。協(xié)議轉(zhuǎn)換是實(shí)現(xiàn)網(wǎng)關(guān)的關(guān)鍵技術(shù)，也是國(guó)際互連網(wǎng)的技術(shù)難點(diǎn)。

3.從外在因素來(lái)看

網(wǎng)關(guān)都是針對(duì)特定的網(wǎng)絡(luò)互連環(huán)境設(shè)計(jì)的，不存在通用的網(wǎng)關(guān)。有時(shí)制造商會(huì)留下了可以獲得敏感信息的后門(mén)。

五、結(jié)束語(yǔ)

信息技術(shù)在各個(gè)領(lǐng)域的深入應(yīng)用和信息安全事件的不斷出現(xiàn)，網(wǎng)絡(luò)和信息安全問(wèn)題越來(lái)越引起重視，信息安全問(wèn)題存在的根本原因是信息系統(tǒng)和產(chǎn)品的脆弱性和管理方面的失誤。目前對(duì)信息產(chǎn)品的脆弱性分析都是基于CVE等漏洞庫(kù)。實(shí)際上，有些脆弱性是其本身的工作原理造成的。本文以網(wǎng)絡(luò)互連設(shè)備為例，從工作原理來(lái)分析其脆弱性，拓展了脆弱性分析的思路。在實(shí)際信息系統(tǒng)安全分析中，還要結(jié)合網(wǎng)絡(luò)組成結(jié)構(gòu)與實(shí)際環(huán)境來(lái)分析網(wǎng)絡(luò)及其設(shè)備的脆弱性，以符合實(shí)際狀況。

本文中所涉及到的圖表、注解、公式等內(nèi)容請(qǐng)以PDF格式閱讀原文。